JWT-decoder

Decoderen alleen verifieert geen authenticiteit, omdat de header en payload alleen base64url-gecodeerd zijn, niet versleuteld, en iedereen ze zonder sleutel kan lezen. Om te controleren of een token echt is ondertekend door de verwachte partij, gebruikt u het optionele handtekeningverificatieveld hieronder, dat alleen het HS256-algoritme ondersteunt.

HS256 gebruikt één gedeeld geheim voor zowel ondertekenen als verifiëren, dus deze tool kan een handtekening controleren met alleen het geheim dat u opgeeft. RS256, ES256 en andere asymmetrische algoritmen ondertekenen met een privésleutel en verifiëren met een andere publieke sleutel, die deze tool niet verzamelt, dus het veilig verifiëren hiervan valt hier buiten bereik.

Dit zijn standaard JWT-tijdstempelclaims, allemaal uitgedrukt als Unix-tijd (seconden sinds 1970). exp is wanneer het token verloopt, iat is wanneer het is uitgegeven, en nbf ("niet eerder dan") is het vroegste moment waarop het token als geldig wordt beschouwd. Deze tool zet elke claim automatisch om in een leesbare datum.

Dit betekent dat de exp-claim in de payload een tijdstempel is die vroeger is dan de huidige tijd, waardoor een server die dit token correct valideert het zou afwijzen. Deze tool controleert alleen de claim en de klok van uw apparaat, en neemt geen contact op met een server.

Het token wordt volledig in uw browser gedecodeerd en nooit ergens naartoe verzonden, dus het hier plakken is net zo veilig als het bekijken in de developer console van uw eigen browser. Behandel desondanks elk token met gevoelige claims zoals u een wachtwoord zou behandelen, en plak geen tokens in tools die u niet vertrouwt.